Las entrevistas de trabajo ya no solo sirven para evaluar tus habilidades: ahora son un vector de ataque. Los hackers de Corea del Norte han perfeccionado una sofisticada campaña de ingeniería social que utiliza ofertas laborales falsas para infectar a profesionales Web3 con troyanos de acceso remoto. Y según un investigador que lleva casi dos años dentro de los sistemas de estos grupos, el alcance es mucho mayor de lo que se creía.

El engaño ‘ClickFake’, paso a paso

Investigadores de SOCRadar Threat Research Unit (STRU) han bautizado esta operación como ‘ClickFake Interview’. El grupo responsable es Famous Chollima (también conocido como Wagemole), un conjunto de ciberdelincuentes alineado con el régimen norcoreano.

Todo comienza en plataformas profesionales como LinkedIn, Telegram, Discord o incluso correo electrónico. Los atacantes se hacen pasar por reclutadores de empresas legítimas o crean compañías ficticias y ofrecen salarios muy atractivos. Si la víctima pica, se le dirige a un portal de evaluación en línea controlado por los hackers.

Estas plataformas son muy realistas: incluyen preguntas técnicas personalizadas, temporizadores de cuenta atrás y advertencias si cambias de pestaña. Durante la prueba, simulan un error falso de cámara o micrófono y muestran un mensaje «amigable» pidiendo copiar y pegar un comando en la terminal para solucionarlo. Ese comando descarga el malware.

Dos troyanos, dos sistemas operativos

En Windows, el script descarga un archivo ZIP, despliega un runtime de Python y ejecuta PylangGhost, un troyano de acceso remoto altamente personalizado. Los atacantes compilan el payload en archivos DLL con Nuitka para evitar la detección.

En macOS, el comando descarga directamente GolangGhost, escrito en Go. Además, instala una aplicación auxiliar que engaña al usuario para que entregue su contraseña de administrador.

Ambos troyanos tienen una arquitectura modular con seis componentes: orquestador, configuración, archivador, lanzador de comandos, comunicación C2 y un módulo robador. Este último ataca más de 80 extensiones de navegador, incluyendo carteras como MetaMask, Phantom y TronLink, así como gestores de contraseñas como NordPass. El objetivo es claro: robar claves privadas y vaciar las cuentas de criptomonedas.

El investigador que se infiltró: 1.640 empresas afectadas

Pero la ‘ClickFake Interview’ no es un caso aislado. El investigador de seguridad Vangelis Stykas, CTO de la firma Kumio, ha estado accediendo a los servidores de comando y control de los hackers norcoreanos durante 22 meses. Según revelará en la conferencia Black Hat en Las Vegas, ha encontrado evidencia de que 1.640 empresas en 57 países han sido impactadas por campañas similares, y entre 700 y 800 de ellas sufrieron intrusiones «realmente dañinas».

Stykas accedió a los servidores de los hackers –en algunos casos porque ellos mismos se infectaron con su propio malware– y pudo ver sus Slack, Discord y más de 5 terabytes de datos. Entre las compañías que ha identificado como víctimas potenciales y que han confirmado el incidente están Boston Children’s Hospital, AEON Smart Technology (Japón), Oppo, Coinbase, Uniswap Labs, el Consejo Superior Judicial de Italia, una filial de Al Rajhi Bank (Arabia Saudí) y Digitaal Vlaanderen (Gobierno flamenco de Bélgica).

Las respuestas han sido variadas. Boston Children’s Hospital dijo que el incidente afectó al dispositivo personal de un antiguo contratista pero no a sus sistemas. Coinbase afirmó que investigó a un contratista y no encontró evidencia de que estuviera en Corea del Norte, pero lo despidió al detectar que podría haber subcontratado el trabajo. El Gobierno flamenco confirmó que aisló la estación de trabajo y rotó credenciales.

Un objetivo común: las criptomonedas

A pesar de que muchas de estas empresas manejaban datos sensibles –como registros de salud o antecedentes penales–, los hackers norcoreanos ignoraron casi todo excepto las billeteras de criptomonedas. Sin embargo, el investigador Hutchins, de Expel, advierte que el riesgo de espionaje persiste si otros equipos de Corea del Norte aprovechan ese acceso persistente.

Lo más preocupante es que cientos de empresas afectadas nunca respondieron a las notificaciones de Stykas, y la lista sigue creciendo. «Empezó como un proyecto secundario y ahora es mi trabajo a tiempo completo», afirma. «Están aquí, hackeándonos sin parar».

La campaña ‘ClickFake’ demuestra que, para los profesionales de Web3, una oferta laboral demasiado buena podría ser la última trampa.